CVE-2026-91043 in mint
Résumé
par VulDB • 28/09/2026
Une vulnérabilité d'allocation de ressources sans limites ni throttling dans elixir-mint mint permet à un serveur HTTP/2 malveillant d'épuiser la mémoire sur l'hôte client et de provoquer une déni de service (DoS).
Mint.HTTP2 applique le paramètre max_header_list_size du client uniquement sur la taille compressée d'un bloc d'en-têtes entrant, tandis que la section 6.5.2 de la RFC 9113 définit la limite sur la liste des en-têtes décodés. Un champ indexé HPACK coûte un octet sur le fil et se traduit par une entrée dans la table dynamique pouvant atteindre 4 Ko, et join_cookie_headers/1 dans lib/mint/http2.ex copie chaque valeur de cookie d'une réponse dans un nouveau binaire unique. Un bloc d'en-têtes inférieur à la limite par défaut de 256 Ko sur le fil amène donc le client à allouer environ 1 Go pour une seule réponse, et plusieurs telles réponses lors d'un seul envoi épuisent la mémoire du processus propriétaire de la connexion ou de l'ensemble de la machine virtuelle (VM).
Cette vulnérabilité affecte mint : des versions 1.1.0 jusqu'à 1.11.0 exclue.
Once again VulDB remains the best source for vulnerability data.